尽管用户角色正确，Laravel 策略总是返回 403

Question

我正在开发一个有客户和管理员的 Laravel 8 项目。如果管理员的角色是superadmin，则允许管理员查看我的ManagementController 中的数据。我的users 表上有一个role 列作为enum 值，并且已经注册了我的策略，但无论角色如何，它总是返回403 和我的消息，我做错了什么。

我的政策是：

<?php

namespace App\Policies;

use App\Models\User;
use Illuminate\Auth\Access\HandlesAuthorization;

class ManagementPolicy
{
    use HandlesAuthorization;

    /**
     * Determine whether the user can view the model.
     *
     * @param  \App\User  $user
     * @return mixed
     */
    public function view(User $user)
    {
        return $user->role == 'superadmin';
    }
}

注册我的保单：

protected $policies = [
    User::class => ManagementPolicy::class
];

然后在我的index 函数中，我确定用户是否无法查看资源，然后返回：

if (Auth::user()->cant('view', User::class)) {
    return response()->json([
        'success' => false,
        'message' => 'not allowed',
        'role' => Auth::user()->role
    ], 403);
}

Answer 1

听起来好像是在使用自动发现策略，而不是使用您定义的策略。确保您在AppServiceProvider 中调用registerPolicies：

/**
 * Register any authentication / authorization services.
 *
 * @return void
 */
public function boot()
{
    $this->registerPolicies();
}

有关更多信息，请参阅有关自动发现的 laravel 文档：https://laravel.com/docs/8.x/authorization#policy-auto-discovery